В последний год фишинговые схемы редко отличаются разнообразием или новизной: все эксплуатируют годами отработанные сценарии, изредка слегка меняя дизайн или информационную обертку. Вот и новый фишинговый сайт antispam-mail.ru не может похвастаться ничем интересным кроме домена, намекающего на то, что жертве будут предлагать отписаться от спама или что-то подобное.

Шаблон скопирован с оригинальной страницы авторизации, все кнопки, не имеющие отношения к главной задаче сайта, получению пароля, просто банально не работают. У жертвы последовательно выведывают адрес, пароль и номер телефона, после чего перебрасывают на официальную страницу с пользовательским соглашением почтового сервиса.

В отличие от многих аналогичных фишинговых сайтов последнего времени здесь нет даже попыток обойти двухфакторную аутентификацию. А уровень исполнения говорит о том, что за фишинговым ресурсом скорее всего стоит не команда профессионалов криминального бизнеса, а злоумышленник-одиночка.

Очередной пример прикладного инструмента телефонных мошенников. Сайт vtb-62967.ru служит для того, чтобы внедрить на Android-смартфон жертвы RAT-троян, а если точнее – слегка видоизмененную программу для удаленного администрирования, которая в дальнейшем поможет злодеям перехватить управление над телефоном со всеми вытекающими последствиями. Вот здесь вы можете послушать запись диалога с мошенником, в котором он как раз предлагает установить «приложение технической поддержки», правда другого банка.

Владелец домена упорно создает фейковые ресурсы под ВТБ. В его копилке их уже более 20. Также пару раз встречаются домены, заточенные под другие банки, и домены формата id-*****.ru, используемые в схемах обмана на маркетплейсах и смежных сценариях.

Отправляем сайт на блокировку и желаем вам хорошей пятницы!

UPD: Ресурс заблокирован за 3 часа!

Сезонные мошенники
Отдельная категория мошенников, которые создают фишинговые сайты под какие-то сезонные события, а что может более сезонное, чем замена летних шин.
В качестве примера выступит созданный неделю назад сайт tires-by-ozon.ru, где для большей привлекательности используют популярные сейчас слова - Озон, Шины, бесплатная доставка по России.
На что стоит обратить внимание:
1 - отсутствие самовывоза
2 - контакты в виде мобильного телефона и почты на @proton.me
3 - принуждение клиента к оплате с карты Озон и ВТБ (видимо уже есть подготовленные фейковые платежные системы - на что намекает и условия предоплаты "только через площадку Озон")
4 - ну и для понимания локализации группировки - стоит посмотреть описание, которое с небольшими изменениями скопировано с Киевского сайта https://rezina.ua/o-nas/

Отличный свежий пример кражи доступов в ЛК сразу четырех банков. Сайты-близнецы https://info-sber24.ru/ и https://tvou-credctva-online.ru/ предлагают скромный бонус в размере 3000 рублей, для получения которого нужно ввести ФИО, номер телефона, номер карты, а потом и код из СМС.

Классическая схема: данные улетают в Telegram-бот и передаются биороботу, который пытается сбросить пароль для доступа в личный кабинет, а потом, если повезет, привязать к ЛК новый номер.

Сайты работают в связке с другими ресурсами или фишинговыми письмами, через которые производится первичная обработка жертвы. Зачем создавать отдельные сайты под разные банки, если можно на домене со словом SBER поднять фишинговые формы сразу под 4 банка!

Мы уже не раз писали о том, что в банковском фишинге сейчас наблюдается тенденция к отходу от кражи фиксированной суммы через интернет-эквайринг. В последние полтора-два года акцент сместился именно на кражу доступа к ЛК, что куда более опасно для пользователей. А простые социотехнические приемы и использование болванчиков-биороботов, которые мнят себя ассами криминального мира, позволяет обойти даже двухфакторку. В общем, киберпанк, который мы заслужили.

Сайты отправлены на блокировку… и благополучно заблокированы!

В свежей пачке доменов в зоне .РФ обнаружился вот такой любопытный ресурс: «бабушка-ясновидящая24.рф». Бабушка Ефросинья отличается высокой продуктивностью (помогла более 50 тысячам людей) и нежеланием светить свои контакты – связаться с ней напрямую невозможно, можно лишь использовать форму обратной связи или заполнить анкету, в которой требуется изложить суть проблемы и оставить свои персональные данные.

Но есть у бабушки Ефросиньи свой маленький секрет… она еще и дедушка. Если взять строку из отзыва с сайта бабушки и вставить ее в поисковик, обнаруживается принадлежащий тому же владельцу сайт-двойник «маг-ясновидящий.рф», в заголовке которого написано: «Эрнест – потомственный ясновидящий, экстрасенс».

Магия, да и только!